잊힐 권리부터 딥페이크 대응까지…개인정보 정책 대전환 시작됐다

개인정보보호위원회가 디지털 사회에서의 개인정보 보호 강화를 목표로 한 새로운 국정과제에 본격적으로 착수했다. 이는 최근 잇따른 대규모 개인정보 유출 등을 반영한 것으로, 기업의 책임을 높이는 한편 이용자 권리를 실질적으로 보장하는 방향에 방점이 찍혔다.

이번 과제는 지난 9월 16일 국무회의에서 확정된 ‘123대 국정과제’에 ‘국민이 안심할 수 있는 개인정보 보호체계 확립’이 포함되면서 윤곽이 드러났다. 개인정보위는 단순 제재에서 벗어나, 피해 예방과 국민의 선택권 보장 등 미래 지향적 방향으로 정책 초점을 옮기겠다는 방침이다. 특히 인공지능과 빅데이터가 일상이 된 시대적 흐름을 반영해 개인정보의 통합적 관리 방안을 마련하는 데 중점을 두고 있다.

과제는 총 다섯 가지 방향으로 추진된다. 첫째, 데이터 유출 등 중대한 사고에 대해선 과징금을 피해 규모에 따라 가중하고, 피해자 보상 체계도 실효성을 갖추도록 개선한다. 둘째, 청소년은 물론 국민 전체를 대상으로 ‘개인정보 자기결정권’을 구체적으로 보장하기 위해 법적 근거를 강화한다. 셋째, 사후 대응 중심이 아닌, 사전 예방 중심의 보호 체계로 전환한다. 넷째, AI와 데이터 중심 사회에서 컨트롤타워 기능을 강조하며, 다섯째는 안전하면서도 유연한 개인정보 활용을 위한 특례 제도를 마련하겠다는 것이다.

이 가운데 특히 주목되는 점은 청소년의 온라인 활동 흔적을 스스로 지울 수 있는 ‘잊힐 권리’에 관한 신설 조치다. 현재 만 14세 미만인 보호 연령을 만 18세 미만으로 확대하고, 본인이 청소년기에 남긴 게시글이나 글을 삭제할 수 있도록 명확한 법적 장치를 마련한다. 또한 공공기관이 수사기관 등에 개인정보를 제공할 경우 당사자에게 이를 의무적으로 통지하도록 하고, 사망자의 프라이버시 보호도 포함해 유족의 권리를 반영하는 제도도 도입된다.

기술 발전에 따른 새로운 위협에 대해서도 예방책이 강화된다. 딥페이크와 같은 AI 기반 합성 콘텐츠가 대표적이다. 앞으로는 당사자가 해당 콘텐츠 삭제를 공식적으로 요구할 수 있는 권리를 보장하는 법이 마련된다. 또한 영상정보 기반 시스템에서의 사생활 침해를 방지하기 위해, 범죄 이력자에 대한 CCTV 관제 근무 제한 등 선제적 조치가 추진된다.

기업에 부과되는 책임도 구체화됐다. 개인정보를 많이 다루는 기업일수록 전담 인력과 예산을 확보해야 하며, 개인정보 보호책임자(CPO)의 법적 지위도 강화된다. 인증 체계 역시 실제 해킹이나 보안 사고 대응 수준을 테스트하는 방향으로 개편되어 인증의 실효성을 끌어올릴 계획이다. 아울러 마이데이터 제도는 의료·통신 등 실생활에 밀접한 10개 분야로 확장되며, 공공기관이 개인정보를 가명처리하는 전 과정을 지원하는 ‘원스톱 서비스’도 운영될 예정이다.

정부는 아울러 유럽연합(EU)과 추진 중인 데이터의 국제 이전 관련 ‘동등성 인정’ 체계를, 영국과 일본 등 다른 주요국으로 확대해 나갈 계획이다. 이는 한국 기업이 해외와 개인정보를 안전하게 공유할 수 있도록 법적 기반을 닦는 작업으로, 국가 간 데이터 이동의 불확실성을 줄이는 데 목적이 있다.

이 같은 흐름은 데이터 경제 시대에 맞춰 진화하는 개인정보 정책의 전환점을 의미한다. 규제 강화를 넘어 예방적이고 권리 중심의 접근이 강화됨에 따라, 기업에는 기술적·행정적 부담이 새롭게 부각될 수 있으나, 동시에 국민의 신뢰를 높이고 국제적 신뢰도도 함께 끌어올릴 수 있는 계기가 될 것으로 보인다.